JP7132765B2 - Fault detection for multiple faults in redundant systems - Google Patents
Fault detection for multiple faults in redundant systems Download PDFInfo
- Publication number
- JP7132765B2 JP7132765B2 JP2018120531A JP2018120531A JP7132765B2 JP 7132765 B2 JP7132765 B2 JP 7132765B2 JP 2018120531 A JP2018120531 A JP 2018120531A JP 2018120531 A JP2018120531 A JP 2018120531A JP 7132765 B2 JP7132765 B2 JP 7132765B2
- Authority
- JP
- Japan
- Prior art keywords
- status
- computing unit
- cyclic redundancy
- message
- redundancy check
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000001514 detection method Methods 0.000 title description 10
- 238000000034 method Methods 0.000 claims description 72
- 125000004122 cyclic group Chemical group 0.000 claims description 71
- 230000000694 effects Effects 0.000 claims description 62
- RZVHIXYEVGDQDX-UHFFFAOYSA-N 9,10-anthraquinone Chemical compound C1=CC=C2C(=O)C3=CC=CC=C3C(=O)C2=C1 RZVHIXYEVGDQDX-UHFFFAOYSA-N 0.000 claims description 61
- 230000005540 biological transmission Effects 0.000 claims description 26
- 230000009471 action Effects 0.000 claims description 7
- 239000000446 fuel Substances 0.000 claims description 4
- 230000007613 environmental effect Effects 0.000 claims description 2
- 230000003213 activating effect Effects 0.000 claims 1
- 230000003068 static effect Effects 0.000 claims 1
- 230000008569 process Effects 0.000 description 34
- 238000012545 processing Methods 0.000 description 20
- 238000004891 communication Methods 0.000 description 16
- 238000010586 diagram Methods 0.000 description 15
- 238000004519 manufacturing process Methods 0.000 description 14
- 238000012423 maintenance Methods 0.000 description 9
- 230000002085 persistent effect Effects 0.000 description 9
- 230000009977 dual effect Effects 0.000 description 8
- 230000006870 function Effects 0.000 description 8
- 238000012986 modification Methods 0.000 description 5
- 230000004048 modification Effects 0.000 description 5
- 238000003491 array Methods 0.000 description 4
- 230000007246 mechanism Effects 0.000 description 3
- 230000006399 behavior Effects 0.000 description 2
- 238000013461 design Methods 0.000 description 2
- 238000012544 monitoring process Methods 0.000 description 2
- 230000003287 optical effect Effects 0.000 description 2
- 101100258328 Neurospora crassa (strain ATCC 24698 / 74-OR23-1A / CBS 708.71 / DSM 1257 / FGSC 987) crc-2 gene Proteins 0.000 description 1
- 230000002159 abnormal effect Effects 0.000 description 1
- 238000004458 analytical method Methods 0.000 description 1
- 238000013459 approach Methods 0.000 description 1
- 238000004364 calculation method Methods 0.000 description 1
- 239000000969 carrier Substances 0.000 description 1
- 238000004590 computer program Methods 0.000 description 1
- 230000001419 dependent effect Effects 0.000 description 1
- 239000000835 fiber Substances 0.000 description 1
- 230000010354 integration Effects 0.000 description 1
- 230000002452 interceptive effect Effects 0.000 description 1
- 238000002955 isolation Methods 0.000 description 1
- 230000007257 malfunction Effects 0.000 description 1
- 239000000463 material Substances 0.000 description 1
- 230000000737 periodic effect Effects 0.000 description 1
- 230000000644 propagated effect Effects 0.000 description 1
- 230000001902 propagating effect Effects 0.000 description 1
- 238000009419 refurbishment Methods 0.000 description 1
- 230000002441 reversible effect Effects 0.000 description 1
- 239000004065 semiconductor Substances 0.000 description 1
- 239000007787 solid Substances 0.000 description 1
- XLYOFNOQVPJJNP-UHFFFAOYSA-N water Substances O XLYOFNOQVPJJNP-UHFFFAOYSA-N 0.000 description 1
Images
Classifications
-
- B—PERFORMING OPERATIONS; TRANSPORTING
- B64—AIRCRAFT; AVIATION; COSMONAUTICS
- B64C—AEROPLANES; HELICOPTERS
- B64C13/00—Control systems or transmitting systems for actuating flying-control surfaces, lift-increasing flaps, air brakes, or spoilers
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
- G05B23/00—Testing or monitoring of control systems or parts thereof
- G05B23/02—Electric testing or monitoring
- G05B23/0205—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults
- G05B23/0208—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults characterized by the configuration of the monitoring system
- G05B23/0213—Modular or universal configuration of the monitoring system, e.g. monitoring system having modules that may be combined to build monitoring program; monitoring system that can be applied to legacy systems; adaptable monitoring system; using different communication protocols
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/08—Error detection or correction by redundancy in data representation, e.g. by using checking codes
- G06F11/10—Adding special bits or symbols to the coded information, e.g. parity check, casting out 9's or 11's
- G06F11/1004—Adding special bits or symbols to the coded information, e.g. parity check, casting out 9's or 11's to protect a block of data words, e.g. CRC or checksum
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05D—SYSTEMS FOR CONTROLLING OR REGULATING NON-ELECTRIC VARIABLES
- G05D1/00—Control of position, course, altitude or attitude of land, water, air or space vehicles, e.g. using automatic pilots
- G05D1/0055—Control of position, course, altitude or attitude of land, water, air or space vehicles, e.g. using automatic pilots with safety arrangements
- G05D1/0077—Control of position, course, altitude or attitude of land, water, air or space vehicles, e.g. using automatic pilots with safety arrangements using redundant signals or controls
-
- B—PERFORMING OPERATIONS; TRANSPORTING
- B64—AIRCRAFT; AVIATION; COSMONAUTICS
- B64D—EQUIPMENT FOR FITTING IN OR TO AIRCRAFT; FLIGHT SUITS; PARACHUTES; ARRANGEMENT OR MOUNTING OF POWER PLANTS OR PROPULSION TRANSMISSIONS IN AIRCRAFT
- B64D45/00—Aircraft indicators or protectors not otherwise provided for
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
- G05B19/00—Programme-control systems
- G05B19/02—Programme-control systems electric
- G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
- G05B19/042—Programme control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
- G05B19/0428—Safety, monitoring
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
- G05B23/00—Testing or monitoring of control systems or parts thereof
- G05B23/02—Electric testing or monitoring
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
- G05B9/00—Safety arrangements
- G05B9/02—Safety arrangements electric
- G05B9/03—Safety arrangements electric with multiple-channel loop, i.e. redundant control systems
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05D—SYSTEMS FOR CONTROLLING OR REGULATING NON-ELECTRIC VARIABLES
- G05D1/00—Control of position, course, altitude or attitude of land, water, air or space vehicles, e.g. using automatic pilots
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/0796—Safety measures, i.e. ensuring safe condition in the event of error, e.g. for controlling element
-
- B—PERFORMING OPERATIONS; TRANSPORTING
- B64—AIRCRAFT; AVIATION; COSMONAUTICS
- B64C—AEROPLANES; HELICOPTERS
- B64C19/00—Aircraft control not otherwise provided for
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
- G05B2219/00—Program-control systems
- G05B2219/20—Pc systems
- G05B2219/24—Pc safety
- G05B2219/24065—Real time diagnostics
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
- G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant
- G06F11/2023—Failover techniques
- G06F11/2028—Failover techniques eliminating a faulty processor or activating a spare
Landscapes
- Engineering & Computer Science (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Automation & Control Theory (AREA)
- Aviation & Aerospace Engineering (AREA)
- Theoretical Computer Science (AREA)
- General Engineering & Computer Science (AREA)
- Quality & Reliability (AREA)
- Radar, Positioning & Navigation (AREA)
- Remote Sensing (AREA)
- Computer Security & Cryptography (AREA)
- Safety Devices In Control Systems (AREA)
- Testing And Monitoring For Control Systems (AREA)
Description
本開示は、広くは、航空機に関し、特に、航空機内の冗長システムにおける多重故障のための故障検出に関する。 TECHNICAL FIELD This disclosure relates generally to aircraft, and more particularly to fault detection for multiple faults in redundant systems within aircraft.
性能の所望のレベル、更には、安全性の所望のレベルを提供するために、航空機内の多くのシステムには冗長性が実装されている。例えば、航空機のための航空機飛行制御システムは、飛行操縦翼面、アクチュエータ、バルブ、サーボモータ、コントローラ、及び航空機の飛行を制御するために利用される他の構成要素を含む。 In order to provide a desired level of performance, as well as a desired level of safety, many systems within an aircraft are implemented with redundancy. For example, an aircraft flight control system for an aircraft includes flight control surfaces, actuators, valves, servo motors, controllers, and other components utilized to control flight of the aircraft.
航空機飛行制御システムは、データ処理アーキテクチャにおいて三重の冗長性を採用し得る。航空機飛行制御システムにおいて制御及び故障検出機能を実行するために、この三重の冗長性が採用される。そのようなシステムでは、3つの個別の計算ユニットが、同一の又はほぼ同一の計算を実行し得る。計算ユニットは、「レーン」とも称される。しばしば、これらのレーンは、通常の状態下で同一の又はほぼ同一の出力を生成することが期待される。そして、それらの計算の出力から選択が行われる。同時に、それらの出力は、通常、故障検出及び分離のために比較される。 Aircraft flight control systems may employ triple redundancy in their data processing architecture. This triple redundancy is employed to perform control and fault detection functions in aircraft flight control systems. In such a system, three separate computational units may perform identical or nearly identical computations. Computing units are also referred to as "lanes". Often these lanes are expected to produce identical or nearly identical outputs under normal conditions. A selection is then made from the outputs of those calculations. At the same time, their outputs are typically compared for fault detection and isolation.
三重の冗長性システムでは、「1‐フェイルオペラティブ(Fail Operative)」が単一の故障を示し、「2‐フェイルセーフ(Fail Safe)」が二重の故障を示す。この文脈では、「1‐フェイルオペラティブ」が、システム内の3つの冗長レーンのうちの1つが故障したならば、該システムは、動作を継続し、2つの残りのレーンに対して必要な制御信号を提供することを意味する。継続される動作は、しばしば、故障したレーンの検出及びシャットダウンの後に行われる。この継続される動作は、誤った出力の可能性を低減させるやり方で高い統合性を支持し、且つ、高い利用可能性を支持する。結果として、該システムは、単一レーン故障の後に動作を継続することができる。 In a triple redundant system, "1-Fail Operative" indicates a single failure and "2-Fail Safe" indicates a double failure. In this context, "1-fail operative" means that if one of the three redundant lanes in the system fails, the system will continue to operate and the necessary control over the two remaining lanes will occur. Means to provide a signal. Continued operation is often followed by failed lane detection and shutdown. This continued operation supports high integrity and high availability in a manner that reduces the possibility of erroneous output. As a result, the system can continue to operate after a single lane failure.
三重の冗長性システムでは、別の1つのレーンが続いて故障したならば、計算システムは、もはや所望の機能を実行するために必要な出力を提供しない。この状況では、該システムが、「2‐フェイルセーフ」の状態に置かれ得る。それは、該システムからの制御出力が、もはや適用されない又は使用されない「フェイルセーフ」状態である。 In a triple redundancy system, if another lane subsequently fails, the computational system no longer provides the output required to perform the desired function. In this situation, the system can be placed in a "2-failsafe" state. It is a "fail-safe" condition in which control outputs from the system are no longer applied or used.
例えば、航空機飛行制御システムにおいて、「1‐フェイルオペラティブ」は、該システムによって制御されるアクチュエータが、単一レーン故障の後に継続して制御され得ることを意味する。アクチュエータが、もはや性能の所望のレベルでシステムによって制御可能でないときに、該システムは、「2‐フェイルセーフ」の状態に置かれ得る。その状態では、該システムが、アクチュエータを制御することができない。この状態では、「バイパスモード」が採用され得る。「バイパスモード」では、アクチュエータが、低い抵抗を伴って、空気負荷によって又は飛行操縦翼面の他のアクチュエータによってバックドライブされ得る。 For example, in an aircraft flight control system, "1-fail operative" means that actuators controlled by the system can continue to be controlled after a single lane failure. When an actuator is no longer controllable by the system at the desired level of performance, the system can be placed in a "2-failsafe" state. In that state, the system cannot control the actuator. In this state, a "bypass mode" may be employed. In "bypass mode," the actuators can be backdriven by the air load or by other actuators of the flight control surface with low resistance.
通常、レーン内に実装される電子機器は、複雑であると考えられる。例えば、レーンのための構成要素は、マイクロプロセッサ、デジタル信号プロセッサ(DSP)、フィールドプログラマブルゲートアレイ(FPGA)、又はそれらの何らかの組み合わせを含み得る。結果として、それらが故障することが予期される望ましくない動作又は挙動の全ての潜在的なモードは、望まれるよりも予測することが困難であり得る。 The electronics that are typically implemented within the lanes are considered complex. For example, components for lanes may include microprocessors, digital signal processors (DSPs), field programmable gate arrays (FPGAs), or some combination thereof. As a result, all potential modes of undesirable operation or behavior that are expected to fail may be more difficult to predict than desired.
更に、レーンによる故障の自己宣言は、完全な故障検出を有すると考えられない。したがって、故障検出は、主として、独立したレーン間の比較に依存する。どのレーンが望ましくない動作を有するかを決定するなどの第1のレーン故障は、検出及び分離することが比較的単純である。この検出は、多数決を使用して実現され得る。 Furthermore, self-declaration of faults by lane is not considered to have perfect fault detection. Fault detection is therefore primarily dependent on comparisons between independent lanes. First lane failures, such as determining which lanes have undesirable behavior, are relatively simple to detect and isolate. This detection can be accomplished using majority voting.
レーンの望ましくない動作が検出されたときに、他の2つのレーンがそのレーンのシャットダウンに同意するならば、そのレーンは他の2つのレーンによってシャットダウンされ得る。該システムは、残りの2つのレーンを用いて継続して動作し、したがって、「1‐フェイルオペラティブ」システムを実現し得る。第2のレーン故障も、2つの残りのレーンの間の比較を通じて同様なやり方で対処され得る。 A lane can be shut down by two other lanes if the other two lanes agree to shut down the lane when undesirable activity in the lane is detected. The system can continue to operate with the remaining two lanes, thus realizing a "1-fail operative" system. A second lane failure can be handled in a similar fashion through a comparison between the two remaining lanes.
2つの残りのレーンのうちの少なくとも一方が、他方のレーンの出力がそれ自身のものとは大幅に異なると決定したならば、全体のシステムが、シャットダウンするか又は不活動状態に置かれ得る。それによって、「2‐フェイルセーフ」システムが実現される。ある場合では、正しい自己宣言をもたらす限定的な故障の場合に対して、三重の冗長システムにおける「2‐フェイルオペラティブ」システムが実現され得る。 If at least one of the two remaining lanes determines that the output of the other lane is significantly different from its own, the entire system can be shut down or placed inactive. A "two-fail-safe" system is thereby realized. In some cases, a "two-fail operative" system in a triple redundant system can be implemented for limited failure cases that result in correct self-declaration.
第1のレーン故障のための故障検出は、比較的単純である。何故ならば、第1のレーン故障の時に、他の2つのレーンが健全だからである。2つの健全なレーンは、故障したレーンをシャットダウンすることに同意することと、そのレーンがシャットダウンした状態で維持されることとの両方において頼りにされ、したがって、完全な故障検出を提供し得る。 Fault detection for the first lane fault is relatively simple. This is because at the time of the first lane failure, the other two lanes are healthy. The two healthy lanes can be relied on both to agree to shut down the failed lane and to keep that lane shut down, thus providing perfect failure detection.
残りの2つのレーンを有する第2のレーン故障が生じたというときには、状況がより複雑になる。例えば、第2のレーンが故障し、そのレーンが第1の以前に故障したレーンをシャットダウン状態から戻すことに同意する。それによって、第1の以前に故障したレーンは、積極的にその投票に参加する。結果として、2つの故障したレーンが、該システムの制御を引き受け得る。例えば、2つの故障したレーンは、最後の残りの健全なレーンをシャットダウンすることに同意し得る。 The situation becomes more complicated when a second lane failure with two remaining lanes occurs. For example, a second lane fails and agrees to bring the first previously failed lane back out of shutdown. Thereby, the first previously failed lane actively participates in the vote. As a result, two failed lanes can assume control of the system. For example, two failed lanes may agree to shut down the last remaining healthy lane.
したがって、少なくとも上述の問題点のうちの幾つかと、起こり得る他の問題点を考慮した方法及び装置を有することが望ましいであろう。例えば、該システムの望ましくない動作を避ける「フェイルセーフ」システムを実現するように第2のレーン故障が管理されるように、制御システムを管理することによって技術的な問題を克服する方法及び装置を有することが望ましいだろう。 Accordingly, it would be desirable to have a method and apparatus that takes into account at least some of the issues discussed above, as well as possibly others. For example, methods and apparatus to overcome technical problems by managing the control system such that second lane failures are managed to provide a "fail-safe" system that avoids undesired operation of the system. It would be desirable to have
本開示の一実施形態は、航空機のための三重の冗長性を有する制御システムを管理する方法を提供する。該方法は、第1のレーン故障が以前に生じていた3つのレーンを含むコントローラ内の送信レーンから一群のメッセージを受信することを含む。該方法は、一群のメッセージ内の、活動インジケータ、一群のレーン内の各レーンによって生成されたステータス、及び一群のレーン内の各レーンによって生成されたサイクリック冗長性チェック値を特定する。一群のレーン内のあるレーンによって生成されたサイクリック冗長性チェック値は、そのレーンに割り当てられたキーを使用して生成される。該方法は、第2のレーン故障が生じたことを示す、一群のメッセージ内で、ステータスにおいて異常が示された、活動インジケータのミスマッチが存在する、又はサイクリック冗長性チェック値のミスマッチが存在する、うちの少なくとも1つであるときに、コントローラの動作を停止する。 One embodiment of the present disclosure provides a method of managing a triple redundant control system for an aircraft. The method includes receiving a group of messages from transmission lanes within a controller including three lanes that previously experienced a first lane failure. The method identifies within the group of messages an activity indicator, a status generated by each lane in the group of lanes, and a cyclic redundancy check value generated by each lane in the group of lanes. A cyclic redundancy check value generated by a lane within a group of lanes is generated using the key assigned to that lane. The method indicates that a second lane failure has occurred, an anomaly is indicated in the status, an activity indicator mismatch exists, or a cyclic redundancy check value mismatch exists within the group of messages. , the operation of the controller is stopped.
本開示の別の一実施形態は、航空機のための三重の冗長性を有する制御システムを提供する。制御システムは、第1のレーン故障が以前に生じていた3つのレーンを含むコントローラ内の送信レーンから一群のメッセージを受信するように構成された飛行制御電子システムを備える。該制御システムは、一群のメッセージ内の、活動インジケータ、一群のレーン内の各レーンによって生成されたステータス、及び一群のレーン内の各レーンによって生成されたサイクリック冗長性チェック値を特定する。一群のレーン内のあるレーンによって生成されたサイクリック冗長性チェック値は、そのレーンに割り当てられたキーを使用して生成される。該制御システムは、第2のレーン故障が生じたことを示す、一群のメッセージ内で、ステータスにおいて異常が示された、活動インジケータのミスマッチが存在する、又はサイクリック冗長性チェック値のミスマッチが存在する、うちの少なくとも1つであるときに、コントローラの動作を停止する。 Another embodiment of the present disclosure provides a triple redundant control system for an aircraft. The control system comprises a flight control electronic system configured to receive a group of messages from transmission lanes within the controller including the three lanes on which the first lane failure has previously occurred. The control system identifies within a group of messages an activity indicator, a status generated by each lane in the group of lanes, and a cyclic redundancy check value generated by each lane in the group of lanes. A cyclic redundancy check value generated by a lane within a group of lanes is generated using the key assigned to that lane. The control system indicates that a second lane failure has occurred, indicated anomaly in status, activity indicator mismatch exists, or cyclic redundancy check value mismatch exists. stop operation of the controller when at least one of
本開示の更に別の一実施形態は、航空機のための制御システムを管理する方法を提供する。該方法は、第1のレーン故障が以前に生じていた三重の冗長性のための3つのレーンを含む遠隔電子ユニット内の送信レーンから一群のメッセージを飛行制御電子システムにおいて受信することを含む。該方法は、飛行制御電子システムによって、送信レーンに割り当てられたキーに基づいて、一群のメッセージ内の、活動インジケータ、送信レーンによって生成されたステータス、及びサイクリック冗長性チェック値を特定する。該方法は、飛行制御電子システムによって、第2のレーン故障が生じたことを示す、一群のメッセージ内で、ステータスにおいて異常が示された、活動インジケータのミスマッチが存在する、又はサイクリック冗長性チェック値のミスマッチが存在する、うちの少なくとも1つであるときに、遠隔電子ユニットに対して動作を実行する。 Yet another embodiment of the present disclosure provides a method of managing a control system for an aircraft. The method includes receiving in the flight control electronic system a set of messages from transmission lanes in a remote electronic unit including three lanes for triple redundancy where a first lane failure had previously occurred. The method identifies an activity indicator, a status generated by a transmission lane, and a cyclic redundancy check value in a group of messages based on a key assigned to the transmission lane by the flight control electronic system. The method comprises: a flight control electronic system indicating that a second lane failure has occurred; an anomaly in status indicated; an activity indicator mismatch; or a cyclic redundancy check. Taking action on the remote electronic unit when at least one of a value mismatch exists.
本開示の更に別の一実施形態は、航空機のための三重の冗長性を有する制御システムを管理する方法を提供する。該方法は、第1のレーン故障が以前に生じていた3つのレーンを含むコントローラ内の送信レーンから一群のメッセージを受信することを含む。該方法は、一群のレーンに割り当てられた一群のキーに基づいて、一群のメッセージ内の、一群のレーンによって生成された活動インジケータ及びエラーチェックデータのミスマッチを特定する。該方法は、第2のレーン故障が生じたことを示す、一群のメッセージ内で、ステータスにおいて異常が示された、活動インジケータのミスマッチが存在する、又はエラーチェックデータのミスマッチが存在する、うちの少なくとも1つであるときに、コントローラの動作を停止する。 Yet another embodiment of the present disclosure provides a method of managing a triple redundant control system for an aircraft. The method includes receiving a group of messages from transmission lanes within a controller including three lanes that previously experienced a first lane failure. The method identifies mismatches in activity indicators and error check data generated by a group of lanes in a group of messages based on a group of keys assigned to the group of lanes. The method includes, within the group of messages indicating that a second lane failure has occurred, indicated an anomaly in status, an activity indicator mismatch exists, or an error check data mismatch exists. Stop the operation of the controller when there is at least one.
これらの特性及び機能は、本開示の様々な実施形態で独立して実現することもできるし、以下の説明及び図面に関連してさらなる詳細を理解することができる、さらに別の実施形態において組み合わされてもよい。 These features and functions can be implemented independently in various embodiments of the present disclosure, or combined in yet other embodiments, which can be understood in further detail in connection with the following description and drawings. may be
例示的な実施形態の特徴とされている新規な特徴は、添付の特許請求の範囲に記載されている。しかし、例示的な実施形態並びに好ましい使用モード、さらなる目的及びそれらの特徴は、添付図面を参照しつつ本開示の例示的な実施形態に関する以下の詳細な説明を読むことによって、最もよく理解されるであろう。 The novel features which characterize the exemplary embodiments are set forth in the appended claims. However, the exemplary embodiments as well as preferred modes of use, further objects and features thereof are best understood by reading the following detailed description of exemplary embodiments of the present disclosure with reference to the accompanying drawings. Will.
例示的な実施形態は、1以上の種々の検討事項を認識し考慮する。例えば、例示的な実施形態は、現在の三重の冗長システムが望まれる程度に効率的に第2のレーンの故障を取り扱うことができ得ないことを認識し考慮する。例えば、例示的な実施形態は、航空機内のシステムの制御を得ることによって望ましくないやり方でレーンを動作させるのは望ましくないことを認識し考慮する。例示的な実施形態は、イベントのシーケンスの追跡を続けるために「グルーロジック(glue‐logic)」を構築するように独立した単純な電子機器が使用され得ることを認識し考慮する。それによって、第2の故障したレーンは、第1の故障したレーンを再起動することができず、最後の残っている健全なレーンが、システムをシャットダウンし該システムを「フェイルセーフ」の状態に置く権限を有し得る。例示的な実施形態は、このアプローチの1つの難しさが、望ましいように機能し得ない複雑なデバイスに依存することなしに、電力サイクルに耐えるイベントのシーケンスのメモリを保持するための機構を含むことを認識し考慮する。 Exemplary embodiments recognize and take into account one or more of various considerations. For example, the exemplary embodiments recognize and take into account that current triple redundant systems may not be able to handle second lane failures as efficiently as desired. For example, the illustrative embodiments recognize and take into consideration that it is undesirable to gain control of systems onboard the aircraft to operate lanes in an undesirable manner. Exemplary embodiments recognize and take into account that independent and simple electronics can be used to build "glue-logic" to keep track of the sequence of events. Thereby, the second failed lane cannot restart the first failed lane, and the last remaining healthy lane shuts down the system and puts it into a "failsafe" state. may have the authority to place Exemplary embodiments include mechanisms for maintaining a memory of sequences of events that survive power cycles without relying on complex devices that may not function as desired where one difficulty with this approach is recognize and consider.
したがって、例示的な実施形態は、制御システムを管理するための方法、装置、及びシステムを提供する。航空機のための三重の冗長性を有する制御システムを管理するプロセスが存在する。該プロセスは、第1のレーン故障が以前に生じていた3つのレーンを含むコントローラ内の送信レーンから一群のメッセージを受信する。活動インジケータ、一群のレーン内の各レーンによって生成されたステータス、及び一群のレーン内の各レーンによって生成されたサイクリック冗長性チェック値が、メッセージ内で特定される。一群のレーン内のあるレーンによって生成されたサイクリック冗長性チェック値は、そのレーンに割り当てられたキーを使用して生成される。第2のレーン故障が生じたことを示す、一群のメッセージ内で、ステータスにおいて異常が示された、活動インジケータのミスマッチが存在する、又はサイクリック冗長性チェック値のミスマッチが存在する、うちの少なくとも1つであるときに、コントローラの動作が停止される。 Accordingly, exemplary embodiments provide methods, apparatus, and systems for managing control systems. A process exists to manage a triple redundant control system for an aircraft. The process receives a batch of messages from the transmission lanes in the controller including the three lanes that previously had the first lane failure. An activity indicator, a status generated by each lane in the group of lanes, and a cyclic redundancy check value generated by each lane in the group of lanes are specified in the message. A cyclic redundancy check value generated by a lane within a group of lanes is generated using the key assigned to that lane. In the group of messages indicating that a second lane failure has occurred, at least one of an anomaly indicated in status, an activity indicator mismatch exists, or a cyclic redundancy check value mismatch exists. When there is one, the operation of the controller is stopped.
次に図面、特に図1を参照すると、例示的な一実施形態による三重の冗長性環境のブロック図が描かれている。この例示的な実施例では、三重の冗長性環境100が、航空機104の形態を採るプラットフォーム102を含み得る。
Referring now to the drawings, and in particular FIG. 1, a block diagram of a triple redundancy environment is depicted in accordance with an illustrative embodiment. In this illustrative example, triple redundancy environment 100 may include
描かれているように、航空機104内の制御システム106は、システム108の動作を制御する。例示的な実施例では、システム108が様々な形態を採り得る。例えば、システム108は、アクチュエータ、バルブ、サーボモータ、飛行操縦翼面、インフライト娯楽システム、燃料システム、エンジン、環境制御システム、自動操縦装置、着陸装置システム、又は何らかの他の適切な種類のシステムのうちの少なくとも1つから選択され得る。
As depicted,
本明細書で使用される場合、列挙されたアイテムと共に使用される「~のうちの少なくとも1つ」という表現は、列挙されたアイテムのうちの1以上の種々の組み合わせが使用されてもよく、また列挙された各アイテムのうちの1つだけが必要とされてもよいということを意味する。換言すると、「~のうちの少なくとも1つ」とは、アイテムの任意の組み合わせ、及び幾つかのアイテムが、列挙された中から使用され得ることを意味するが、列挙されたアイテムの全てが必要となる訳ではないことを意味する。アイテムとは、特定の対象物、物品、またはカテゴリであってよい。 As used herein, the phrase "at least one of" used with listed items may be used in various combinations of one or more of the listed items, It also means that only one of each item listed may be required. In other words, "at least one of" means that any combination of items and some of the items listed may be used, but all of the items listed are required. It does not mean that An item may be a particular object, item, or category.
例えば、限定するものではないが、「アイテムA、アイテムB、及びアイテムCのうちの少なくとも1つ」は、「アイテムA」、「アイテムAとアイテムB」、または「アイテムB」を含んでいてよい。この例はまた、「アイテムAとアイテムBとアイテムC」、又は「アイテムBとアイテムC」も含むことができる。これらのアイテムの何れかの組み合わせも、もちろん存在してよい。ある例示的な実施例では、「~のうちの少なくとも1つ」は、限定しないが例として、「2個のアイテムAと1個のアイテムBと10個のアイテムC」、「4個のアイテムBと7個のアイテムC」、又は他の適切な組み合わせであってよい。 For example, without limitation, "at least one of item A, item B, and item C" includes "item A," "item A and item B," or "item B." good. This example can also include "Item A and Item B and Item C" or "Item B and Item C". Any combination of these items may of course also exist. In one illustrative example, "at least one of" includes, but is not limited to, "2 items A and 1 item B and 10 items C," "4 items B and 7 items C", or any other suitable combination.
この特定の実施例では、制御システム106が、コンピュータシステム142内に実装され得る。コンピュータシステム142は、物理的なハードウェアシステムであり、1以上のデータ処理システムを含む。2以上のデータ処理システムが存在するときに、これらのデータ処理システムは、通信媒体を使用して互いと通信する。通信媒体は、ネットワークであってもよい。データ処理システムは、コンピュータ、サーバコンピュータ、ライン交換ユニット、タブレット、又は何らかの他の適切なデータ処理システムのうちの少なくとも1つから選択され得る。
In this particular example,
描かれているように、制御システム106は、飛行制御電子システム110及びコントローラ112を備える。この例示的な実施例では、コントローラ112が、飛行操縦翼面114の形態を採るシステム108を制御する。例示的な実施例では、この制御が、飛行操縦翼面114に連結されたアクチュエータをコントローラ112が制御する、直接的な制御であり得る。飛行操縦翼面114は、種々の形態を採り得る。例えば、飛行操縦翼面114は、エルロン、エレベータ、ラダー、スポイラー、フラップ、スラット、エアブレーキ、及び何らかの他の適切な種類の飛行操縦翼面から選択され得る。
As depicted,
この例示的な実施例では、飛行制御電子システム110が、マスターコントローラ146として機能する一方で、コントローラ112は、より低いレベルのコントローラである。飛行制御電子システム110は、コントローラ112に加えて、1以上のコントローラをモニタ及び制御し得る。それらの他のコントローラは、飛行操縦翼面114に加えて、航空機104のための他の平面制御装置を制御し得る。
In this illustrative example, flight control
コントローラ112は、飛行操縦翼面114に加えて又は代えて、システム108内の他のシステム若しくは構成要素又は他のシステムを制御し得る。例えば、システム108は、アクチュエータ、バルブ、サーボモータ、インフライト娯楽システム、燃料システム、エンジン、環境制御システム、自動操縦装置、着陸装置システム、又は何らかの他の適切な種類のシステムのうちの少なくとも1つから選択され得る。
この例示的な実施例では、飛行制御電子システム110が、3つのレーンを含むコントローラ112内のレーン120内の送信レーン118から一群のメッセージ116を受信するように構成されている。描かれているように、一群のメッセージ116は、暗号化され得る。本明細書で使用される際に、「一群の」は、アイテムに関して使用されるときに、1以上のアイテムを意味する。例えば、「一群のメッセージ116」は、1以上のメッセージを意味する。
In this illustrative example, flight control
この例示的な実施例では、第1のレーン故障122が、コントローラ112内で以前に生じていた。制御システム106の動作中に、飛行制御電子システム110は、一群のメッセージ116内の、活動インジケータ124、一群のレーン120内の各レーンによって生成されたステータス126、及び一群のレーン120内の各レーンによって生成されたエラーチェックデータ144を特定する。一群のレーンは、未だ健全であるか又は性能の所望のレベルで動作していると考えられるレーン120である。この例示的な実施例では、エラーチェックデータ144は、サイクリック冗長性チェック値128の形態を採る。
In this illustrative example,
描かれているように、メッセージ116のうちの1以上で情報が送信され得る。言い換えると、活動インジケータ124、各レーンに対するステータス126、及び各レーンに対するサイクリック冗長性チェック値128は、単一のメッセージ内に存在し得る。例えば、2つのレーンが起動しているならば、単一のメッセージは、活動インジケータ124、2つのステータスメッセージ、及び2つのサイクリック冗長性チェック値を含み得る。
As depicted, information may be sent in one or more of
描かれているように、一群のレーン120内のレーン130によって生成されたサイクリック冗長性チェック値128は、レーン130に割り当てられたキー132を使用して生成される。この例示的な実施例では、サイクリック冗長性チェック値128が、一群のメッセージ116内の活動インジケータ124及びステータス126に更に基づき得る。
As depicted, cyclic redundancy check values 128 generated by
この例示的な実施例では、飛行制御電子システム110が、一群のメッセージ116内の、活動インジケータ124、ステータス126、一群のレーン120内のレーン130のための局所的なキー140を使用して、一群のメッセージ116に対する局所的なサイクリック冗長性チェック値138を計算するように構成されている。レーン130のための局所的なキー140は、飛行制御電子システム110に配置されたレーン130に割り当てられたキーである。局所的なキー140は、これらの例示的な実施例においてサイクリック冗長性チェックを実行するときに、飛行制御電子システム110とコントローラ112との間で送信されない。
In this illustrative example, flight control
飛行制御電子システム110は、第2のレーン故障134が生じたことを示す、コントローラ112内の送信レーン118から受信された一群のメッセージ116内で、ステータス126において異常が示された、活動インジケータのミスマッチが存在する、又はサイクリック冗長性チェック値のミスマッチが存在する、うちの少なくとも1つであるときに、コントローラ112の動作を停止する。この例示的な実施例では、コントローラ112が、遠隔の電子ユニット136である。例えば、飛行制御電子システム110は、コントローラ112から電力を除去することによってコントローラ112の動作を停止し得る。
Flight control
制御システム106及び制御システム106内の種々の構成要素は、ソフトウェア、ハードウェア、ファームウェア、又はそれらの組み合わせの中に実装され得る。ソフトウェアが使用されるときに、制御システム106によって実行される動作は、プロセッサユニットなどのハードウェア上で実行されるよう構成されたプログラムコードの中に実装され得る。ファームウェアが使用されるときに、制御システム106によって実行される動作は、プロセッサユニット上で実行されるようにプログラムコード及びデータの中に実装され、且つ、固定記憶域に記憶され得る。ハードウェアが採用されるときに、ハードウェアは制御システム106内で動作を実施するために動作する回路を含んでいてよい。
例示的な実施例において、ハードウェアは、回路システム、集積回路、特定用途向け集積回路(ASIC)、プログラマブル論理デバイス、または、幾つかの動作を実行するよう構成された何らかの他の適切な種類のハードウェアのうちの、少なくとも1つから選択された形態を採り得る。プログラマブル論理デバイスを用いる場合、該デバイスは、幾つかの動作を実施するように構成されてよい。該デバイスは、幾つかの動作を実施するよう、後で再構成されてもよく、または恒久的に構成されてもよい。プログラマブル論理デバイスは、例えば、プログラマブル論理アレイ、プログラマブルアレイ論理、フィールドプログラマブル論理アレイ、フィールドプログラマブルゲートアレイ、及び、他の適切なハードウェア装置を含む。加えて、これらのプロセスは、無機構成要素に組み込まれた有機構成要素に実装されていてもよいし、全てが人間以外の有機構成要素でからなっていてもよい。例えば、これらのプロセスは、有機半導体の回路として実装されていてよい。 In illustrative examples, the hardware is a circuit system, integrated circuit, application specific integrated circuit (ASIC), programmable logic device, or some other suitable type of device configured to perform some operation. It may take the form selected from at least one of hardware. When using programmable logic devices, the devices may be configured to perform several operations. The device may be later reconfigured or permanently configured to perform some operation. Programmable logic devices include, for example, programmable logic arrays, programmable array logic, field programmable logic arrays, field programmable gate arrays, and other suitable hardware devices. Additionally, these processes may be implemented in organic components embedded in inorganic components, or may consist entirely of non-human organic components. For example, these processes may be implemented as circuits in organic semiconductors.
例示的な一実施例では、制御システムを管理することによって技術的な問題を克服する1以上の技術的な解決策が存在する。それによって、第2のレーン故障は、望ましくないやり方で動作しないシステムを実現するように管理される。結果として、1以上の技術的な解決策は、三重の冗長性システムにおける冗長性のための現在の技術と比較して、コントローラ内のレーンが望ましくないやり方で動作しているときをより効果的に検出するための技術的効果を提供し、そのレーンを管理し得る。 In one exemplary embodiment, there are one or more technical solutions to overcome technical problems by managing control systems. Second lane failures are thereby managed to provide a system that does not behave in an undesirable manner. As a result, one or more technical solutions are more efficient when lanes within the controller are operating in an undesirable manner compared to current techniques for redundancy in triple redundancy systems. provide the technical effect to detect and manage that lane.
更に、1以上の技術的な解決策は、コントローラ112などのより低いレベルのコントローラからのデータをモニタして、第2のレーン故障がより低いレベルのコントローラ内で生じたか否かを判定する、飛行制御電子システム110などのマスターコントローラを含む。これらの1以上の技術的な解決策では、マスターコントローラが、コントローラ112及びコントローラ112によって制御されるシステム108のうちの少なくとも一方に対する動作を決定し制御する。
Further, one or more technical solutions monitor data from lower level controllers, such as
このやり方では、コントローラがコントローラ内のレーンをモニタ及び制御する現在の制御システムの1以上の問題が低減され得る。例えば、シャットダウンされた以前に故障したレーンが、第2の故障したレーンによって再スタートされ、コントローラ及びコントローラによって制御されるシステムを制御する望ましくないやり方で動作し得る2つのレーンをもたらす状況を避けることができる。 In this manner, one or more of the problems of current control systems in which controllers monitor and control lanes within controllers may be reduced. For example, to avoid situations where a previously failed lane that has been shut down is restarted by a second failed lane, resulting in two lanes that may operate in an undesirable manner controlling the controller and the system controlled by the controller. can be done.
結果として、コンピュータシステム142は、コンピュータシステム142内の制御システム106が、第1のレーン故障が生じた後での制御を管理することを可能にする、専用コンピュータシステムとして動作する。特に、制御システム106を有さない現在の利用可能な汎用コンピュータシステムと比較して、制御システム106は、コンピュータシステム142を専用コンピュータシステムへ変換する。
As a result,
図1の三重の冗長性環境100の図は、例示的な一実施形態が実装され得るやり方に対して物理的又は構造的な限定を課すことを意図するものではない。示されている構成要素に加えて又は代えて、他の構成要素が使用されてもよい。幾つかの構成要素は不要であってよい。更に、一部の機能構成要素を図示するために、ブロックが提示されている。例示的な実施形態で実施されるときに、これらのブロックのうちの1つ以上が、結合されても、分割されても、結合且つ分割されて異なるブロックになってもよい。 The illustration of triple redundancy environment 100 in FIG. 1 is not intended to impose physical or structural limitations on the manner in which an exemplary embodiment may be implemented. Other components may be used in addition to or in place of those shown. Some components may be unnecessary. Additionally, blocks are presented to illustrate some functional components. One or more of these blocks may be combined, divided, or combined and divided into different blocks when implemented in an exemplary embodiment.
例えば、例示的な実施例は、航空機104の形態を採るプラットフォーム102に関して説明されているが、別の例示的な一実施例は、他の種類のプラットフォームに適用されてもよい。例えば、プラットフォーム102は、移動式プラットフォーム、固定式プラットフォーム、陸上構造物、水上構造物、及び宇宙構造物であってもよい。より具体的には、プラットフォーム102は、水上艦、戦車、人員運搬機、列車、宇宙船、宇宙ステーション、衛星、潜水艦、自動車、発電所、橋、ダム、家屋、製造施設、建造物、及び他の適切なプラットフォームであり得る。
For example, although the illustrative embodiment is described with respect to
別の例示的な一実施例では、エラーチェックデータ144が、サイクリック冗長性チェック値128とは異なる他の形態を採り得る。例えば、エラーチェックデータ144は、パリティビット、チェックサム、水平冗長性チェック値、又はメッセージ、パケット、若しくは情報の他の形態を送信することにおいてエラーをチェックするために使用される他の種類のデータのうちの少なくとも1つから選択され得る。言い換えると、1以上の種類のエラーチェックデータ144が使用され得る。
In another illustrative example,
別の一実施例として、ステータス126が、メッセージ116から省略され得る。ある場合では、エラーのチェックが、ステータス126を送信することなしに実行され得る。ステータス126は、サイクリック冗長性チェック値128などのエラーチェックデータ144を生成することにおいて使用され得る。この実施例では、異常及びステータスが、サイクリック冗長性チェックのミスマッチを通じて検出され得る。この実施例では、サイクリック冗長性チェック値のミスマッチに対する活動インジケータのミスマッチが存在するときに、異常が存在する。
As another example, status 126 may be omitted from
例示的な更に別の一実施例では、送信レーン118からのステータス126が、エラーチェックデータ144なしに送信され得る。この実施例では、活動インジケータのミスマッチが存在することをステータス126が示すときに、異常が存在する。
In yet another illustrative embodiment, status 126 from transmit
更に別の例示的な一実施例では、ステータス126が、エラーのチェックなしに送信レーン118によって送信され得る。そして、送信レーン118以外のレーン120内の他のレーンは、ステータス126なしにサイクリック冗長性チェック値128を生成する。この場合では、活動インジケータのミスマッチが生じるときに、異常が検出される。
In yet another illustrative example, status 126 may be sent over transmit
次に図2を参照すると、例示的な一実施形態による、制御システムのブロック図が描かれている。この描かれている実施例では、制御システム200が、図1の制御システム106に対する例示的な一実施態様である。
Referring now to FIG. 2, a block diagram of a control system is depicted in accordance with an illustrative embodiment. In this depicted example, control system 200 is an exemplary implementation for
この例示的な実施例では、制御システム200が、飛行制御電子(FCE)システム202及び遠隔電子ユニット(REU)204を含む。遠隔電子ユニット204は、図1のコントローラ112の一例である。
In this illustrative example, control system 200 includes flight control electronics (FCE)
描かれているように、遠隔電子ユニット204は、3つのレーン、レーン1206、レーン2 208、及びレーン3210を含む。これらのレーンは、制御システム200における3重の冗長性を提供する。描かれているように、レーン1206は、送信レーン212である。送信レーン212は、飛行制御電子システム202と直接的に通信する。他のレーンは、送信レーン212を通じて情報を送信する。
As depicted, remote electronics unit 204 includes three lanes, lane 1206, lane 2 208, and lane 3210. These lanes provide triple redundancy in control system 200 . As depicted, lane 1206 is
この例示的な実施例では、第1のレーン故障が以前に生じていた。描かれているように、レーン3210は、故障して動作が停止されてしまった。送信レーン212とレーン2208は、遠隔電子ユニット204内で起動しているレーンである。
In this illustrative example, the first lane failure had previously occurred. As depicted, lane 3210 has failed and has been taken out of service. Transmit
描かれているように、飛行制御電子システム202は、活動インジケータ214を生成し、送信レーン212及びレーン2208に送信する。この例示的な実施例において、活動インジケータ214は、活動インジケータ214が生成される度に増加する数値である。例示的な実施例では、活動インジケータ214が、制御システム200の動作中に連続的に変化する。遠隔電子ユニット204の動作中に大き過ぎる遅延が生じたならば、戻される活動インジケータは、活動インジケータ214と合致しないことになる。大き過ぎる遅延の量は、どれだけの遅延が遠隔電子ユニット204の望ましくない動作をもたらすかに基づいて選択され得る。
As depicted, flight control
レーン2 208は、ステータス2 216を生成する。ステータスは、レーン2208が特定する異常を示し得る。この異常は、レーン2 208又は送信レーン212に対するものであり得る。レーン2 208は、活動インジケータ215、ステータス2 216、及びキー2 220を使用して、サイクリック冗長性チェック値(CRC2)128を生成する、サイクリック冗長性チェック(CRC)生成器230を有する。キー2 220は、レーン2 208に割り当てられたキーである。レーン2208は、送信レーン212にメッセージ222を送信する。理想的には、活動インジケータ215が、活動インジケータ214と同じ値を有するべきである。メッセージ222は、ステータス2216とサイクリック冗長性チェック値128を含む。
Lane 2 208 produces Status 2 216 . Status may indicate anomalies that lane 2208 identifies. This anomaly may be for lane 2 208 or
この例示的な実施例では、送信レーン212がステータス1224を生成する。ステータス1 224は、送信レーン212が送信レーン212又はレーン2 208に対して特定し得る異常のインジケータを含む。送信レーン212は、活動インジケータ248、ステータス1 224、及びキー1 228を使用してサイクリック冗長性チェック値(CRC1)226を生成する、サイクリック冗長性チェック(CRC)生成器232を有する。キー1 228は、送信レーン212に割り当てられたキーである。
In this illustrative example,
更に、サイクリック冗長性チェック生成器232は、サイクリック冗長性チェック生成器230から分離した構成要素として示されている。ある例示的な実施例では、これらの2つのブロックが、単一の物理的な構成要素によって生成されるサイクリック冗長性チェック値と組み合され得る。
Additionally, cyclic
描かれているように、送信レーン212は、メッセージ234を生成し送信する。この実施例では、メッセージ234が、活動インジケータ248、ステータス1224、サイクリック冗長性チェック値226、ステータス2 216、及びサイクリック冗長性チェック値218を含む。活動インジケータ248は、活動インジケータ214と同じであるか又は異なる値であってもよい。
As depicted, transmit
メッセージ234は、飛行制御電子システム202に送信される。描かれているように、メッセージ234は、二重のレーン故障モニタ236によって処理される。二重のレーン故障モニタ236は、遠隔電子ユニット204内の第1のレーンが故障したときに動作を開始する。二重の故障モニタ236は、メッセージ234などの入ってくるメッセージをモニタして、遠隔電子ユニット204内の2つの残りのレーン内の1つのレーンが故障したか否かを判定する。
二重のレーン故障モニタ236は、遠隔電子ユニット204内の各レーンによって生成されたステータスを検査して、ステータスの何れかが、送信レーン212又はレーン2208内で異常又は故障が生じたことを示すか否かを判定する。更に、二重のレーン故障モニタ236は、活動インジケータ214がメッセージ234内の活動インジケータ248とマッチしない、活動インジケータのミスマッチもモニタする。
A dual
サイクリック冗長性チェック値のミスマッチが存在するか否かを判定することにおいて、二重のレーン故障モニタ236は、送信レーン212に対する局所的なサイクリック冗長性チェック値(LCRC1)238、及び、レーン2 208に対する局所的なサイクリック冗長性チェック値(LCRC2)240を生成する。これらの値は、局所的なキー1244及び局所的なキー2 246などの局所的なキー242を使用して生成される。局所的なキー1 244は、キー1 228に対する局所的なキーであり、局所的なキー2246は、キー2 220に対する局所的なキーである。
In determining whether a cyclic redundancy check value mismatch exists, dual lane failure monitor 236 detects local cyclic redundancy check value (LCRC1) 238 for transmit
これらの局所的なサイクリック冗長性チェック値は、メッセージ222内のサイクリック冗長性チェック値と比較されて、サイクリック冗長性チェック値のミスマッチが存在するか否かを判定する。構成要素に対する一部のプロセスが、レーンに対する偽のステータスを生成し得る可能性を低減することにおいて、キーの使用は助けとなる。
These local cyclic redundancy check values are compared to the cyclic redundancy check values in
例示的な実施例では、各レーンが、活動インジケータ214を使用して、サイクリック冗長性チェック値を生成する。新しいデータが特定のレーンによってパスされない又はデータがゆっくりとパスされるならば、戻される活動インジケータ、すなわちメッセージ234内の活動インジケータ248は、活動インジケータ214とマッチしないことになる。
In the exemplary embodiment, each lane uses
ステータスにおいて異常が示された、活動インジケータのミスマッチが存在する、又はサイクリック冗長性チェック値のミスマッチが存在する、うちの少なくとも1つであるときに、第2のレーン故障が存在する。この例示的な実施例では、二重のレーン故障モニタ236によって第2のレーン故障が特定されたときに、遠隔電子ユニット204から電力が除去される。
A second lane failure exists when at least one of an anomaly is indicated in the status, an activity indicator mismatch exists, or a cyclic redundancy check value mismatch exists. In this illustrative example, power is removed from remote electronics unit 204 when a second lane failure is identified by dual
次に図3を参照すると、例示的な一実施形態による、三重の冗長性を有する制御システムを管理するためのプロセスのフローチャートが描かれている。図3で示されているプロセスは、図1の制御システム106内の飛行制御電子システム110内に実装され得る。図3で示されている種々の動作は、プログラムコード、ハードウェア、又はそれらの組み合わせとしてデータ処理システム内に実装され、該データ処理システムは、図1のコンピュータシステム142などの飛行制御電子システムを実施するために使用され得る。
Referring now to FIG. 3, a flowchart of a process for managing a control system with triple redundancy is depicted in accordance with an illustrative embodiment. The process illustrated in FIG. 3 may be implemented within flight
該プロセスは、第1のレーン故障が以前に生じていた3つのレーンを含むコントローラ内の送信レーンから一群のメッセージを受信することによって開始する(動作300)。該方法は、一群のメッセージ内の、活動インジケータ、一群のレーン内の各レーンによって生成されたステータス、及び一群のレーン内の各レーンによって生成されたサイクリック冗長性チェック値を特定する(動作302)。一群のレーン内のあるレーンによって生成されたサイクリック冗長性チェック値は、そのレーンに割り当てられたキーを使用して生成される。 The process begins by receiving a group of messages from the transmission lanes in the controller, including the three lanes that previously experienced the first lane failure (operation 300). The method identifies within the group of messages an activity indicator, a status generated by each lane within the group of lanes, and a cyclic redundancy check value generated by each lane within the group of lanes (operation 302 ). A cyclic redundancy check value generated by a lane within a group of lanes is generated using the key assigned to that lane.
該プロセスは、第2のレーン故障が生じたことを示す、一群のメッセージ内で、ステータスにおいて異常が示された、活動インジケータのミスマッチが存在する、又はサイクリック冗長性チェック値のミスマッチが一群のメッセージ内に存在する、うちの少なくとも1つであるときに、コントローラの動作を停止する(動作304)。本プロセスは、その後、終了する。 The process indicates that a second lane failure has occurred, an anomaly is indicated in the status, an activity indicator mismatch exists, or a cyclic redundancy check value mismatch exists in the group of messages. If at least one of is present in the message, stop operation of the controller (operation 304). The process then ends.
次に図4を参照すると、例示的な一実施形態による、レーンをモニタするためのプロセスのフローチャートが描かれている。図4で示されているプロセスは、図2の制御システム200内の飛行制御電子システム202内に実装され得る。このプロセスは、図2の制御システム200内の飛行制御電子システム202内の二重のレーン故障モニタ236内にも実装され得る。図2で示されている種々の動作は、プログラムコード、ハードウェア、又はそれらの組み合わせとしてデータ処理システム内に実装され、該データ処理システムは、図1のコンピュータシステム142などの飛行制御電子システムを実施するために使用され得る。
Referring now to FIG. 4, a flowchart of a process for monitoring lanes is depicted in accordance with an illustrative embodiment. The process illustrated in FIG. 4 may be implemented within flight
該プロセスは、コントローラ内の送信レーンからメッセージを受信することによって開始する(動作400)。該プロセスは、活動インジケータ、送信レーンからのステータス、第2の動作しているレーンからのステータス、送信レーンによって生成されたサイクリック冗長性チェック値、及び第2の動作しているレーンによって生成されたサイクリック冗長性チェック値を特定する(動作402)。該プロセスは、メッセージ内で特定された情報を使用して異常が存在するか否かを判定する(動作404)。この例示的な実施例では、一群のメッセージ内で、ステータスにおいて異常が示された、活動インジケータのミスマッチが存在する、又はエラーチェックデータのミスマッチが存在する、うちの1つであるときに、この実施例において異常が存在する。 The process begins by receiving a message from a transmit lane in the controller (operation 400). The process generates an activity indicator, a status from a transmission lane, a status from a second working lane, a cyclic redundancy check value generated by the transmission lane, and a second working lane. A cyclic redundancy check value is identified (operation 402). The process determines whether an anomaly exists using the information identified in the message (operation 404). In this exemplary embodiment, when one of the group of messages indicates an anomaly in status, an activity indicator mismatch exists, or an error check data mismatch exists, this An anomaly exists in the example.
異常が存在するならば、該プロセスは、修正動作を実行し(動作406)、その後、本プロセスは終了する。この修正動作は、様々な形態を採り得る。例えば、該プロセスは、コントローラから電力を除去し、コントローラを通信バスから接続解除し、コントローラをシャットダウンし、コントローラをリブートし、又は何らかの他の動作を行い得る。 If an anomaly exists, the process performs corrective action (operation 406), after which the process ends. This corrective action can take various forms. For example, the process may remove power from the controller, disconnect the controller from the communication bus, shut down the controller, reboot the controller, or perform some other action.
再び動作404を参照すると、異常が存在しないならば、該プロセスは、動作400に戻る。このプロセスでは、コントローラが、コントローラを「フェイルセーフ」モードへ置くための責任から解放される。
Referring again to
次に図5を参照すると、例示的な一実施形態による、サイクリック冗長性値のミスマッチが存在するか否かを判定するためのプロセスのフローチャートが描かれている。図5で示されているプロセスは、図1の制御システム106内の飛行制御電子システム110内に実装され得る。図5で示されている種々の動作は、プログラムコード、ハードウェア、又はそれらの組み合わせとしてデータ処理システム内に実装され、該データ処理システムは、図1のコンピュータシステム142などの飛行制御電子システムを実施するために使用され得る。
Referring now to FIG. 5, a flowchart of a process for determining if a cyclic redundancy value mismatch exists is depicted in accordance with an illustrative embodiment. The process illustrated in FIG. 5 may be implemented within flight
該プロセスは、一群のメッセージ内の、活動インジケータ、ステータス、及び一群のレーン内のあるレーンに対する局所的なキーを使用して、一群のメッセージに対する局所的なサイクリック冗長性チェック値を計算することによって開始する(動作500)。局所的なキーは、図1の飛行制御電子システム110内に配置されるキーである。局所的なキーは、図1で示されている航空機104の通常の動作中に、飛行制御電子システム110とコントローラ112との間の任意の通信において送信されない。
The process computes a local cyclic redundancy check value for the group of messages using the activity indicator, the status, and the local key for a lane within the group of lanes within the group of messages. (operation 500). A local key is a key located within the flight control
該プロセスは、コントローラから受信したメッセージ内のサイクリック冗長性チェック値を特定する(動作502)。サイクリック冗長性チェック値と局所的なサイクリック冗長性チェック値との間にマッチが存在するか否かに関して判定が行われる(動作504)。マッチが存在しないならば、該プロセスは、ミスマッチが生じたことを示し(動作506)、その後、本プロセスは終了する。そうでない場合に、該プロセスは、マッチが存在することを示し(動作508)、その後、本プロセスは終了する。 The process identifies a cyclic redundancy check value in a message received from the controller (operation 502). A determination is made as to whether there is a match between the cyclic redundancy check value and the local cyclic redundancy check value (operation 504). If there is no match, the process indicates that a mismatch has occurred (operation 506) and then the process ends. If not, the process indicates that a match exists (operation 508) and then the process ends.
図示した種々の実施形態におけるフローチャート及びブロック図は、例示的な一実施形態における、装置及び方法の幾つかの可能な実施態様の構造、機能、及び動作を示している。これに関し、フローチャート又はブロック図内の各ブロックは、モジュール、セグメント、機能、又は動作若しくはステップの一部分のうちの少なくとも1つを表わし得る。例えば、ブロックのうちの1以上は、プログラムコード、ハードウェア、又はプログラムコードとハードウェアの組合せとして実装されてよい。ハードウェア内に実装されたときに、ハードウェアは、例えば、フローチャートまたはブロック図の1以上の動作を実行するように製造又は構成された、集積回路の形態を採り得る。プログラムコードとハードウェアの組み合わせとして実装されたときに、この実装態様は、ファームウェアの形態を採り得る。フローチャート又はブロック図の各ブロックは、種々の動作を実行する専用ハードウェアシステム、又は専用ハードウェアと専用ハードウェアによって実行されるプログラムコードの組み合わせを使用して実装され得る。 The flowcharts and block diagrams in the various depicted embodiments illustrate the architecture, functionality, and operation of some possible implementations of the apparatus and methods in an illustrative embodiment. In this regard, each block in a flowchart or block diagram may represent at least one of a module, segment, function, or portion of an operation or step. For example, one or more of the blocks may be implemented as program code, hardware, or a combination of program code and hardware. When implemented in hardware, the hardware may, for example, take the form of an integrated circuit manufactured or configured to perform one or more operations of the flowcharts or block diagrams. When implemented as a combination of program code and hardware, this implementation may take the form of firmware. Each block of the flowcharts or block diagrams may be implemented using a dedicated hardware system that performs the various operations, or a combination of dedicated hardware and program code executed by dedicated hardware.
例示的な一実施形態の幾つかの代替的な実施態様では、ブロック内に記載された1以上の機能は、図中に記載された順序を逸脱して出現し得る。例えば、場合によっては、連続して示される2つのブロックがほぼ同時に実施されること、又は時には含まれる機能に応じてブロックが逆順に実施されることもあり得る。更に、フローチャート又はブロック図に描かれているブロックに加えて、他のブロックが追加されることもある。 In some alternative implementations of an illustrative embodiment, the function or functions noted in the block may occur out of the order noted in the figures. For example, two blocks shown in succession may, in some cases, be implemented substantially concurrently, or the blocks may sometimes be implemented in the reverse order, depending on the functionality involved. Moreover, other blocks may be added in addition to the illustrated blocks in a flowchart or block diagram.
次に図6を参照すると、例示的な一実施形態による、データ処理システムのブロック図が描かれている。データ処理システム600を使用して、図1のコンピュータシステム142を実行することができる。この例示的な実施例では、データ処理システム600は通信フレームワーク602を含み、これによりプロセッサユニット604、メモリ606、固定記憶域608、通信ユニット610、入/出力ユニット612、及びディスプレイ614間の通信が行われる。この例では、通信フレームワーク602は、バスシステムの形態を採り得る。
6, a block diagram of a data processing system is depicted in accordance with an illustrative embodiment.
プロセッサユニット604は、メモリ606に読み込まれてよいソフトウェアに対する指示命令を実行する役割を果たす。プロセッサユニット604は、具体的な実装態様に応じて、任意の数のプロセッサであるか、マルチプロセッサコアであるか、又は他の何らかの種類のプロセッサであってよい。
メモリ606及び固定記憶域608は、記憶デバイス616の一例である。記憶デバイスは、例えば、限定するものではないが、データ、機能的な形態のプログラムコードなどの情報、又は他の適切な情報のうちの少なくとも1つを一時的に及び/又は永続的に記憶できる、任意のハードウェアである。記憶デバイス616は、これらの例示的な実施例では、コンピュータ可読記憶デバイスとも称され得る。これらの実施例で、メモリ606は、例えばランダムアクセスメモリ、又は任意の他の適切な揮発性或いは不揮発性の記憶デバイスであってもよい。固定記憶域608は、特定の実施態様に応じて様々な形態を採り得る。
例えば、固定記憶域608は、1以上の構成要素又は装置を含んでいてよい。例えば、固定記憶域608は、ハードドライブ、ソリッドステートハードドライブ、フラッシュメモリ、書換え型光学ディスク、書換え可能磁気テープ、又は上述の何らかの組み合わせであってもよい。固定記憶域608によって使用される媒体も、着脱可能であってよい。例えば、着脱可能ハードドライブが固定記憶域608に使用され得る。
For example,
これらの例示的な実施例では、通信ユニット610が、他のデータ処理システム又は装置との通信を提供する。これらの例示的な実施例では、通信ユニット610はネットワークインタフェースカードである。
入/出力ユニット612は、データ処理システム600に接続され得る他の装置との間のデータの入出力を可能にする。例えば、入/出力ユニット612は、キーボード、マウス、または他の何らかの適切な入力装置のうちの少なくとも1つを通じて、ユーザ入力のための接続を提供し得る。更に、入/出力ユニット612は、プリンタに出力を送信し得る。ディスプレイ614は、ユーザに情報を表示するための仕組みを提供する。
Input/
オペレーティングシステム、アプリケーション、又はプログラムのうちの少なくとも1つに対する指示は、通信フレームワーク602を介してプロセッサユニット604と通信する記憶デバイス616内に位置していてもよい。種々の実施形態のプロセスは、メモリ606などのメモリの中に含まれ得るコンピュータによって実行される指示を使用して、プロセッサユニット604によって実行され得る。
Instructions for at least one of an operating system, applications, or programs may be located in
これらの指示命令は、プロセッサユニット604内のプロセッサによって読み取られ実行され得る、プログラムコード、コンピュータ使用可能プログラムコード、又はコンピュータ可読プログラムコードと呼ばれる。種々の実施形態のプログラムコードは、メモリ606又は固定記憶域608といった、種々の物理的記憶媒体又はコンピュータ-可読記憶媒体上で具現化され得る。
These instructions are referred to as program code, computer usable program code, or computer readable program code that may be read and executed by a processor within
プログラムコード618は、選択的に着脱可能であるコンピュータ可読媒体620に機能的形態で置かれ、プロセッサユニット604によって実行するためにデータ処理システム600に読み込ませたり、転送したりしてもよい。プログラムコード618とコンピュータ-可読媒体620は、これらの実施例では、コンピュータプログラム製品622を形成する。一実施例では、コンピュータ可読媒体620は、コンピュータ可読記憶媒体624又はコンピュータ可読信号媒体626になり得る。
これらの例示的な実施例では、コンピュータ可読記憶媒体624は、プログラムコード618を伝搬または伝送する媒体というよりは、むしろプログラムコード618を記憶するために使用される、物理的記憶装置又は有形記憶装置である。
In these illustrative examples, computer-
別の態様では、プログラムコード618は、コンピュータ可読信号媒体626を使用して、データ処理システム600に伝送され得る。コンピュータ可読信号媒体626は、例えば、プログラムコード618を包含する伝播されたデータ信号であってもよい。例えば、コンピュータ可読信号媒体626は、電磁信号、光信号、又は他の任意の適切な種類の信号のうちの少なくとも1つであってもよい。これらの信号は、無線通信リンク、光ファイバケーブル、同軸ケーブル、電線、または他の任意の好適な種類の通信リンクといった、少なくとも1つの通信リンクを介して伝送され得る。
In another aspect,
データ処理システム600に関して図示した種々の構成要素は、種々の実施形態が実行され得るやり方に対して構造的制限を設けることを意図していない。種々の例示の実施形態は、データ処理システム600に対して図解されている構成要素に対して追加的又は代替的な構成要素を含むデータ処理システム内で実行され得る。図6に示す他の構成要素は、図示の実施例と異なることがある。種々の実施形態は、プログラムコード618を実行可能な任意のハードウェアデバイス又はシステムを使用して実行され得る。
The various components illustrated with respect to
本開示の例示的な実施形態は、図7に示す航空機の製造及び保守方法700、及び図8に示す航空機800に関連して説明され得る。まず図7を参照するに、例示的な実施形態に係る航空機の製造及び保守方法のブロック図が示されている。製造前の段階では、航空機の製造及び保守方法700は、図8の航空機800の仕様及び設計702と、材料調達704とを含み得る。
Exemplary embodiments of the present disclosure may be described with reference to aircraft manufacturing and
製造段階では、図8の航空機800の、構成要素及びサブアセンブリの製造706とシステムインテグレーション708とが行われる。その後、図8の航空機800は、運航712に供されるために、認可及び納品710を経てよい。顧客による運航712の期間中に、図8の航空機800には、改造、再構成、改修、及びその他の整備又は保守を含みうる定期的な整備及び保守714が予定される。
The manufacturing phase includes component and
航空機の製造及び保守方法700の各プロセスは、システムインテグレータ、第三者、事業者、又はこれらの幾つかの組み合わせによって、実施または実行され得る。これらの実施例では、事業者は顧客であってよい。この明細書において、システムインテグレータは、任意の数の航空機製造業者及び主要システム下請業者を含みうるが、それらに限定されるわけではなく、第三者は、任意の数のベンダー、下請業者、及び供給業者を含みうるが、それらに限定されるわけではなく、オペレータは、航空会社、リース会社、軍事団体、サービス機関等であり得る。
Each process of aircraft manufacturing and
次に図8を参照すると、例示的な実施形態が実行され得る航空機のブロック図が示されている。この例では、航空機800は、図7の航空機の製造及び保守方法700によって製造され、且つ、複数のシステム804と内装806とを有する機体802を含み得る。システム804の例は、推進システム808、電気システム810、油圧システム812、及び環境システム814のうちの1以上を含む。任意の数の他のシステムが含まれてよい。
Referring now to FIG. 8, a block diagram of an aircraft is depicted in which exemplary embodiments may be practiced. In this example,
航空宇宙産業の例が示されているが、種々の例示的な実施形態が、自動車産業といった他の産業に適用されてもよい。本明細書で具現化される装置及び方法は、図7の航空機の製造及び保守方法700のうちの少なくとも1つの段階で用いられ得る。
Although an aerospace industry example is shown, various exemplary embodiments may be applied to other industries, such as the automotive industry. Apparatuses and methods embodied herein may be used in at least one stage of aircraft manufacturing and
一実施例では、図7の構成要素及びサブアセンブリの製造706で製造される構成要素又はサブアセンブリは、図7の、航空機800の運航712の期間中に製造される構成要素又はサブアセンブリと同様の様態で、作製又は製造され得る。更に別の例では、1以上の装置の実施形態、方法の実施形態、又はこれらの組み合わせを、図7の構成要素及びサブアセンブリの製造706並びにシステム組立708などの製造段階で、利用することができる。
In one example, the components or subassemblies manufactured in component and
例えば、図1の制御システム106及び図2の制御システム200は、システム804内の種々のシステムを制御するために、構成要素及びサブアセンブリの製造706又はシステムインテグレーション708のうちの少なくとも一方の間に航空機800内に実装され得る。描かれているように、図1の制御システム106及び図2の制御システム200は、飛行操縦翼面システム807、推進システム808、電気システム810、油圧システム812、環境システム814、又は航空機800のための他のシステムのうちの少なくとも1つを制御するために使用され得る。
For example,
1以上の装置の実施形態、方法の実施形態、又はこれらの組み合わせを、航空機800の図7における運航712、整備及び保守714の間、又はその両方の間に利用することができる。幾つかの異なる例示的な実施形態の利用により、航空機800の組み立てを大幅に効率化すること、航空機800のコストを削減すること、又は航空機800の組み立てを大幅に効率化することと、航空機800のコストを削減することの両方が可能になる。例えば、図1の制御システム106及び図2の制御システム200は、航空機800の運航712中に動作し得る。更に、図1の制御システム106及び図2の制御システム200は、図8の航空機800が図7の通常の整備及び保守714の予定を組まれているときに、新しい構成要素として追加され又は更新され得る。図7の通常の整備及び保守714には、修正、再構成、改修、及び他の整備若しくは保守が含まれ得る。
One or more apparatus embodiments, method embodiments, or combinations thereof may be utilized during
したがって、三重の冗長性を有する制御システムを管理するための方法及び装置の1以上の例示的な実施例が提供される。例示的な一実施例では、第2のレーン故障を管理する技術的な効果を提供する技術的な解決策が存在する。例示的な一実施例では、1つの技術的な解決策が、第2のレーン故障の発生を検出し飛行制御電子システムなどのマスターコントローラに報告するために健全なレーンを利用し、そのような故障がコントローラ内で報告されたならば飛行制御電子システムがアクチュエータをシャットダウンすることを可能にする。例示的な実施例では、アクチュエータのシャットダウンが実現され得る例示的な1つの機構としてのコントローラとして機能する遠隔電子ユニットから、電力が除去される。 Accordingly, one or more exemplary embodiments of methods and apparatus for managing a control system with triple redundancy are provided. In one exemplary embodiment, there is a technical solution that provides a technical effect of managing second lane failures. In one exemplary embodiment, one technical solution utilizes a healthy lane to detect and report the occurrence of a second lane failure to a master controller such as a flight control electronic system, such Allows the flight control electronic system to shut down the actuators if a fault is reported in the controller. In an exemplary embodiment, power is removed from a remote electronic unit acting as a controller as one exemplary mechanism by which actuator shutdown may be accomplished.
例示的な実施例では、データが1つのレーン、すなわち送信レーンから送信される。この送信レーンは、第2の故障レーンであり得る。飛行制御電子システムなどのマスターコントローラによって、データが受信される。送信レーンによって送信されたデータの解析が、飛行制御電子システムによって使用されて、故障が生じたか否かを判定する。 In an exemplary embodiment, data is transmitted from one lane, the transmission lane. This transmission lane may be the second failed lane. Data is received by a master controller, such as a flight control electronic system. Analysis of the data transmitted by the transmission lanes is used by the flight control electronic system to determine if a malfunction has occurred.
例示的な実施例では、データが、活動インジケータ、ステータス、及びエラーチェックデータのうちの少なくとも1つを含む。この情報は、健全だと想定されていた送信レーンが故障レーンになった場合の保護のために使用され得る。 In an exemplary embodiment, the data includes at least one of activity indicators, status, and error checking data. This information can be used for protection when a transmission lane that was supposed to be healthy becomes a failed lane.
例えば、各レーンは、異常がレーンによって見られたか否かのインジケータを含む「ステータス」を生成する。このステータスは、他のパラメータと共に、送信レーンに送信される。送信レーンは、1以上のメッセージ内の情報を、飛行制御電子システムに送信する。 For example, each lane produces a "status" that includes an indicator of whether anomalies have been seen by the lane. This status is sent on the transmit lane along with other parameters. A transmit lane transmits information in one or more messages to the flight control electronic system.
残りの2つのレーンの何れかがステータスを通じて異常を示したら、飛行制御電子システムはアクチュエータをシャットダウンする。そのアクチュエータのためのコントローラから電力を除去することによって、シャットダウンが実行され得る。故障した送信レーンが、この通信経路を妨害する又はデータを破壊することを防ぐために、エラーチェックデータがメッセージ内に含まれる。したがって、飛行制御電子システムは、データ経路が妨害されたか又はデータが破壊されたか否かを検出することができる。 If any of the remaining two lanes indicate an anomaly through status, the flight control electronic system will shut down the actuators. Shutdown can be performed by removing power from the controller for that actuator. Error checking data is included in the message to prevent a failed transmission lane from interfering with this communication path or corrupting data. Thus, the flight control electronic system can detect whether the data path has been blocked or the data has been corrupted.
種々の例示的な実施形態の説明は、例示及び説明を目的として提示されており、網羅的であること、又は開示された形態の実施形態に限定することは意図されていない。動作又は工程を実施する構成要素が、種々の実施例によって説明される。一実施例においては、構成要素は、記載された動作や工程を実施するように構成され得る。例えば、この構成要素は、実施例において構成要素によって実施されると説明されている動作又は工程を実施する能力をこの構成要素に提供する構造向けの構成又は設計を有しうる。 The description of various exemplary embodiments has been presented for purposes of illustration and description, and is not intended to be exhaustive or limited to the embodiments in the form disclosed. Components that perform actions or steps are described through various examples. In one embodiment, the components can be configured to perform the described acts or steps. For example, the component may have a structural configuration or design that provides the component with the ability to perform the operations or steps described as being performed by the component in the examples.
当業者には、多くの修正例及び変形例が明らかであろう。更に、種々の例示的な実施形態によって、他の好ましい実施形態と比較して異なる特徴が提供され得る。飛行制御電子システムからのコマンドに基づいて飛行操縦翼面のアクチュエータを制御する遠隔電子ユニットに関して、例示的な一実施例が説明されてきたが、他の例示的な実施例が、他の制御システムに適用可能であり得る。例えば、ダムのための水門におけるバルブを制御するコントローラ又は利用可能性が重要な何らかの他の種類の三重の冗長性システムに、別の例示的な一実施例が適用され得る。 Many modifications and variations will be apparent to those skilled in the art. Moreover, different exemplary embodiments may provide different features as compared to other preferred embodiments. Although one exemplary embodiment has been described in terms of a remote electronic unit that controls the actuators of flight control surfaces based on commands from a flight control electronic system, other exemplary embodiments are contemplated by other control systems. may be applicable to Another exemplary embodiment may be applied, for example, to a controller controlling valves at a lock for a dam or any other type of triple redundancy system where availability is important.
選択された1以上の実施形態は、実施形態の原理、実際の用途を最もよく説明するため、及び他の当業者に対し、様々な実施形態の開示内容と、考慮される特定の用途に適した様々な修正との理解を促すために選択及び記述されている。 One or more embodiments were selected to best explain the principles of the embodiments, their practical applications, and to others skilled in the art, the disclosure of the various embodiments and their suitability for the particular applications contemplated. It has been selected and described to facilitate understanding with the various modifications that have been made.
Claims (13)
第1の計算ユニットの故障(122)が以前に生じていた3つの計算ユニットを含むコントローラ(112)内の送信計算ユニット(118)から、飛行制御電子システム(110)において、前記送信計算ユニットによって生成された第1のステータスおよび第1のサイクリック冗長性チェック値と、第2の計算ユニットによって生成された第2のステータスおよび第2のサイクリック冗長性チェック値とを含むメッセージ(116)を受信すること、
前記メッセージ(116)内の、活動インジケータ(124)と、前記送信計算ユニットおよび前記第2の計算ユニットによって生成された前記第1のステータスおよび前記第2のステータスと、前記送信計算ユニットおよび前記第2の計算ユニットによって、各計算ユニットに割り当てられたキー(132)を使用して生成された前記第1のサイクリック冗長性チェック値および前記第2のサイクリック冗長性チェック値と、を特定すること、並びに
第2の計算ユニットの故障(134)が生じたことを示す前記メッセージ(116)内で、ステータス(126)において異常が示された、活動インジケータのミスマッチが存在する、又はサイクリック冗長性チェック値のミスマッチが存在する、のうちの少なくとも1つであるときに、前記コントローラ(112)の動作を停止することを含む、方法。 A method of managing a triple redundant control system (106) for an aircraft (104), comprising:
from the transmitting computation unit (118) in the controller (112), which includes the three computation units in which the failure (122) of the first computation unit had previously occurred , in the flight control electronic system (110), by said transmitting computation unit a message (116) including the generated first status and first cyclic redundancy check value and the second status and second cyclic redundancy check value generated by the second computing unit; to receive
an activity indicator (124) , said first status and said second status generated by said transmitting computing unit and said second computing unit , said transmitting computing unit and said message (116); said first cyclic redundancy check value and said second cyclic redundancy check value generated by said second computing unit using a key (132) assigned to each computing unit; There is a mismatch of activity indicators, identifying and indicated anomaly in status (126) in said message (116) indicating that a failure (134) of the second computing unit has occurred. or a mismatch of cyclic redundancy check values exists.
前記活動インジケータ(124)を前記コントローラ(112)に送信することを更に含む、請求項1に記載の方法。 The method of claim 1, further comprising: generating the activity indicator (124); and transmitting the activity indicator (124) to the controller (112).
第1の計算ユニットの故障(122)が以前に生じていた3つの計算ユニットを含むコントローラ(112)内の送信計算ユニット(118)から、飛行制御電子システム(110)において、前記送信計算ユニットによって生成された第1のステータスおよび第1のサイクリック冗長性チェック値と、第2の計算ユニットによって生成された第2のステータスおよび第2のサイクリック冗長性チェック値とを含むメッセージ(116)を受信し、
前記メッセージ(116)内の、活動インジケータ(124)と、前記送信計算ユニットおよび前記第2の計算ユニットによって生成された前記第1のステータスおよび前記第2のステータスと、前記送信計算ユニットおよび前記第2の計算ユニットによって、各計算ユニットに割り当てられたキー(132)を使用して生成された前記第1のサイクリック冗長性チェック値および前記第2のサイクリック冗長性チェック値と、を特定し、
第2の計算ユニットの故障(134)が生じたことを示す前記メッセージ(116)内で、ステータス(126)において異常が示された、活動インジケータのミスマッチが存在する、又はサイクリック冗長性チェック値のミスマッチが存在する、のうちの少なくとも1つであるときに、前記コントローラ(112)の動作を停止するように構成された、飛行制御電子システム(110)を備える、制御システム(106)。 A triple redundant control system (106) for an aircraft (104), comprising:
from the transmitting computation unit (118) in the controller (112), which includes the three computation units in which the failure (122) of the first computation unit had previously occurred , in the flight control electronic system (110), by said transmitting computation unit a message (116) including the generated first status and first cyclic redundancy check value and the second status and second cyclic redundancy check value generated by the second computing unit; receive and
an activity indicator (124) , said first status and said second status generated by said transmitting computing unit and said second computing unit , said transmitting computing unit and said message (116); said first cyclic redundancy check value and said second cyclic redundancy check value generated by said second computing unit using a key (132) assigned to each computing unit; identify,
In said message (116) indicating that a failure (134) of the second computing unit has occurred, indicated anomaly in status (126), activity indicator mismatch exists or cyclic redundancy a control system (106), comprising a flight control electronic system (110) configured to halt operation of said controller (112) when at least one of: a mismatch of sex check values exists; ).
第1の計算ユニットの故障(122)が以前に生じていた三重の冗長性のための3つの計算ユニットを含む遠隔電子ユニット(136)内の送信計算ユニット(118)から、飛行制御電子システム(110)において、前記送信計算ユニットによって生成された第1のステータスおよび第1のサイクリック冗長性チェック値と、第2の計算ユニットによって生成された第2のステータスおよび第2のサイクリック冗長性チェック値とを含むメッセージ(116)を受信すること、
前記飛行制御電子システム(110)によって、前記送信計算ユニット(118)および前記第2の計算ユニットに割り当てられたキー(132)に基づいて、前記メッセージ(116)内の、活動インジケータ(124)と、前記送信計算ユニット(118)および前記第2の計算ユニットによって生成された前記第1のステータスおよび前記第2のステータスと、前記第1のサイクリック冗長性チェック値および前記第2のサイクリック冗長性チェック値と、を特定すること、並びに
第2の計算ユニットの故障(134)が生じたことを示す前記メッセージ(116)内で、前記ステータス(126)において異常が示された、活動インジケータのミスマッチが存在する、又はサイクリック冗長性チェック値のミスマッチが存在する、のうちの少なくとも1つであるときに、前記飛行制御電子システム(110)によって、前記遠隔電子ユニット(136)に対する動作を実行することを含む、方法。 A method of managing a control system (106) for an aircraft (104), comprising:
From the transmission computation unit (118) in the remote electronic unit (136), which includes three computation units for triple redundancy where failure (122) of the first computation unit had previously occurred, the flight control electronic system ( At 110), a first status and a first cyclic redundancy check value generated by said transmitting computing unit and a second status and a second cyclic redundancy check generated by a second computing unit. receiving a message (116) containing a value and
an activity indicator (124) in said message (116) based on keys (132) assigned by said flight control electronic system (110) to said transmitting computing unit (118) and said second computing unit ; ) , said first status and said second status generated by said transmitting computing unit (118) and said second computing unit , said first cyclic redundancy check value and said second cycle a click redundancy check value, and an anomaly indicated in said status (126) in said message (116) indicating that a second computing unit failure (134) has occurred. , an activity indicator mismatch exists, or a cyclic redundancy check value mismatch exists, the flight control electronic system (110) causes the remote electronic unit (136) to A method comprising performing an action on a.
第1の計算ユニットの故障(122)が以前に生じていた3つの計算ユニットを含むコントローラ(112)内の送信計算ユニット(118)から、飛行制御電子システム(110)において、前記送信計算ユニットによって生成された第1のステータスおよび第1のエラーチェックデータのミスマッチと、第2の計算ユニットによって生成された第2のステータスおよび第2のエラーチェックデータのミスマッチとを含むメッセージ(116)を受信すること、
前記送信計算ユニットおよび前記第2の計算ユニットに割り当てられた一群のキーに基づいて、前記メッセージ(116)内の、活動インジケータ(124)と、前記送信計算ユニットおよび前記第2の計算ユニットによって生成された前記第1のエラーチェックデータのミスマッチおよび前記第2のエラーチェックデータのミスマッチと、を特定すること、及び
第2の計算ユニットの故障(134)が生じたことを示す前記メッセージ(116)内で、ステータス(126)において異常が示された、活動インジケータのミスマッチが存在する、又はエラーチェックデータのミスマッチが存在する、のうちの少なくとも1つであるときに、前記コントローラ(112)の動作を停止することを含む、方法。 A method of managing a triple redundant control system (106) for an aircraft (104), comprising:
from the transmitting computation unit (118) in the controller (112), which includes the three computation units in which the failure (122) of the first computation unit had previously occurred , in the flight control electronic system (110), by said transmitting computation unit receive a message (116) including a mismatch between the generated first status and first error checking data and a mismatch between the second status and second error checking data generated by the second computing unit; thing,
an activity indicator (124) in said message (116) and said transmitting computing unit and said second computing unit based on a set of keys assigned to said transmitting computing unit and said second computing unit; and identifying the mismatch in the first error check data and the mismatch in the second error check data generated by the message indicating that a second computation unit failure (134) has occurred. in message (116), when at least one of an anomaly is indicated in status (126), an activity indicator mismatch exists, or an error check data mismatch exists, the controller ( 112).
Applications Claiming Priority (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US15/637,670 | 2017-06-29 | ||
US15/637,670 US10571914B2 (en) | 2017-06-29 | 2017-06-29 | Fault coverage for multiple failures in redundant systems |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2019031272A JP2019031272A (en) | 2019-02-28 |
JP7132765B2 true JP7132765B2 (en) | 2022-09-07 |
Family
ID=62909343
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2018120531A Active JP7132765B2 (en) | 2017-06-29 | 2018-06-26 | Fault detection for multiple faults in redundant systems |
Country Status (7)
Country | Link |
---|---|
US (1) | US10571914B2 (en) |
EP (1) | EP3422125B1 (en) |
JP (1) | JP7132765B2 (en) |
CN (1) | CN109213118B (en) |
BR (1) | BR102018009506A2 (en) |
CA (1) | CA3003039C (en) |
RU (1) | RU2758229C2 (en) |
Families Citing this family (11)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US11099936B2 (en) * | 2018-09-11 | 2021-08-24 | Embraer S.A. | Aircraft integrated multi system electronic architecture |
CN109828449A (en) * | 2019-01-25 | 2019-05-31 | 杭州电子科技大学 | A kind of triplication redundancy control calculating voting system and method |
JP7386108B2 (en) * | 2020-03-09 | 2023-11-24 | ナブテスコ株式会社 | Multiplex control equipment for aircraft |
US11851088B2 (en) * | 2020-03-11 | 2023-12-26 | Baidu Usa Llc | Method for determining capability boundary and associated risk of a safety redundancy autonomous system in real-time |
US11720067B2 (en) * | 2020-03-30 | 2023-08-08 | General Electric Company | Method for handling a simultaneous failure of all channels of a multi-channel engine controller for a gas turbine engine |
CN111930036A (en) * | 2020-07-24 | 2020-11-13 | 中国航空工业集团公司西安飞行自动控制研究所 | Main-standby control switching system and method for civil aircraft actuator |
EP4188797A4 (en) * | 2020-07-29 | 2024-05-29 | Skyryse, Inc. | Redundancy systems for small fly-by-wire vehicles |
CN112526979B (en) * | 2020-12-16 | 2023-06-09 | 中国兵器装备集团自动化研究所 | Serial communication interface diagnosis system and method with multiple redundancy architecture |
CN114706369A (en) * | 2022-04-13 | 2022-07-05 | 中国第一汽车股份有限公司 | Automatic driving controller test system, automatic driving controller and vehicle |
CN115657450B (en) * | 2022-12-28 | 2023-03-31 | 广东美的制冷设备有限公司 | Safety control system, circuit and method for industrial robot |
CN117149533B (en) * | 2023-11-01 | 2024-01-23 | 成都正扬博创电子技术有限公司 | Comprehensive control computer system capable of automatically adapting redundancy configuration |
Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US20170081019A1 (en) | 2007-04-05 | 2017-03-23 | Bombardier Inc. | Fly-by-wire flight control system and method |
Family Cites Families (16)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
DE3928456A1 (en) * | 1989-08-29 | 1991-03-07 | Nord Micro Elektronik Feinmech | METHOD AND CIRCUIT ARRANGEMENT FOR FORMING AN EVALUATION SIGNAL FROM A MULTIPLE NUMBER OF REDUNDANT MEASURING SIGNALS |
SU1802607A1 (en) * | 1990-11-06 | 1994-07-30 | Московский институт электромеханики и автоматики | Device for control of multichannel control system |
FR2878953B1 (en) * | 2004-12-03 | 2007-01-26 | Thales Sa | ARCHITECTURE OF AN AIRBORNE SYSTEM FOR AIDING THE AIRCRAFT |
RU2324624C1 (en) * | 2006-11-17 | 2008-05-20 | ОАО "ОКБ им. А.С. Яковлева" | Aeroplane with system of obtaining reserve information on attitude position of aircraft |
US7877627B1 (en) * | 2008-12-18 | 2011-01-25 | Supercon, L.L.C. | Multiple redundant computer system combining fault diagnostics and majority voting with dissimilar redundancy technology |
US8598840B2 (en) * | 2010-04-15 | 2013-12-03 | Launchpoint Energy And Power Llc | Fault-tolerant battery management system, circuits and methods |
US9327600B1 (en) * | 2011-09-06 | 2016-05-03 | Neeme Systems Solutions, Inc. | Aircraft utilities and power distribution system |
US9150308B2 (en) * | 2012-02-10 | 2015-10-06 | Merlin Technology, Inc. | Rotorcraft autopilot system, components and methods |
CN104603706B (en) * | 2012-02-10 | 2019-09-27 | 默林科技股份有限公司 | The control device and method of automatic pilot |
RU2551813C1 (en) * | 2013-12-16 | 2015-05-27 | Российская Федерация, от имени которой выступает Министерство обороны Российской Федерации | System to control redundant system with output parameter mean arithmetic value selection |
CN104238435B (en) * | 2014-05-27 | 2017-01-18 | 北京航天自动控制研究所 | Triple-redundancy control computer and fault-tolerant control system |
US9493231B2 (en) * | 2015-03-20 | 2016-11-15 | The Boeing Company | Flight control system command selection and data transport |
CN107848623B (en) * | 2015-05-29 | 2021-02-09 | 维里蒂工作室股份公司 | Aircraft with a flight control device |
CN105279049A (en) * | 2015-06-16 | 2016-01-27 | 康宇星科技(北京)有限公司 | Method for designing triple-modular redundancy type fault-tolerant computer IP core with fault spontaneous restoration function |
CN106227195B (en) * | 2016-08-30 | 2019-03-12 | 北京精密机电控制设备研究所 | A kind of fault detection judges compensation triple redundance method of servo-controlling |
US10248484B2 (en) * | 2017-02-21 | 2019-04-02 | Intel Corporation | Prioritized error-detection and scheduling |
-
2017
- 2017-06-29 US US15/637,670 patent/US10571914B2/en active Active
-
2018
- 2018-04-23 RU RU2018114969A patent/RU2758229C2/en active
- 2018-04-27 CA CA3003039A patent/CA3003039C/en active Active
- 2018-05-10 BR BR102018009506-4A patent/BR102018009506A2/en unknown
- 2018-06-26 JP JP2018120531A patent/JP7132765B2/en active Active
- 2018-06-26 EP EP18179925.5A patent/EP3422125B1/en active Active
- 2018-06-27 CN CN201810685085.XA patent/CN109213118B/en active Active
Patent Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US20170081019A1 (en) | 2007-04-05 | 2017-03-23 | Bombardier Inc. | Fly-by-wire flight control system and method |
Also Published As
Publication number | Publication date |
---|---|
CA3003039C (en) | 2022-12-06 |
JP2019031272A (en) | 2019-02-28 |
CA3003039A1 (en) | 2018-12-29 |
US20190004515A1 (en) | 2019-01-03 |
RU2758229C2 (en) | 2021-10-26 |
BR102018009506A2 (en) | 2019-01-15 |
EP3422125B1 (en) | 2021-11-03 |
CN109213118A (en) | 2019-01-15 |
US10571914B2 (en) | 2020-02-25 |
EP3422125A1 (en) | 2019-01-02 |
RU2018114969A (en) | 2019-10-23 |
RU2018114969A3 (en) | 2021-08-12 |
CN109213118B (en) | 2021-03-12 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JP7132765B2 (en) | Fault detection for multiple faults in redundant systems | |
US7725215B2 (en) | Distributed and recoverable digital control system | |
US8260492B2 (en) | Method and system for redundancy management of distributed and recoverable digital control system | |
US7877627B1 (en) | Multiple redundant computer system combining fault diagnostics and majority voting with dissimilar redundancy technology | |
US7765427B2 (en) | Monitoring system and methods for a distributed and recoverable digital control system | |
Huang et al. | Active fault tolerant control systems by the semi‐Markov model approach | |
EP3462270B1 (en) | Redundant flight control system and method of use | |
US9493231B2 (en) | Flight control system command selection and data transport | |
US8775867B2 (en) | Method and system for using a standby server to improve redundancy in a dual-node data storage system | |
CN105204431B (en) | Four remaining signal monitoring means of votings and equipment | |
CN110058972A (en) | For realizing the electronic computer and related electronic device of at least one key function | |
EP2784676A1 (en) | DIMA extension health monitor supervisor | |
Yang et al. | A combination method for integrated modular avionics safety analysis | |
Khan et al. | Integration Issues for Vehicle Level Distributed Diagnostic Reasoners | |
CN114791830B (en) | Method for controlling and automatically restarting a technical device | |
EP4209850A1 (en) | Real-time artificial intelligence and/or machine learning (ai/ml) systems | |
US11203440B2 (en) | System for integrated engine and flight control | |
Cena | Development of a fault-tolerant software for a CubeSat Test Platform | |
Halpern | Redundancy and Fault Tolerance in Elevator System Design | |
Kumar et al. | Analysis of a stochastic model on two-unit cold standby hardware-software system considering fault tolerance | |
KR101695574B1 (en) | A satellite with automatic fault recovery system | |
Qu et al. | Software reliability analysis in air traffic control system |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20210618 |
|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20220427 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20220510 |
|
A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20220608 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20220802 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20220826 |
|
R150 | Certificate of patent or registration of utility model |
Ref document number: 7132765 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |